商业银行业务连续性管理指标与要素

1.关键指标及其确认方法

商业银行为保障业务活动能够在运营中断事件发生时提供基本的服务能力，在执行业务持续性管理具体工作中，将围绕业务恢复时间指标和信息系统恢复时间指标，展开后续资源建设和保障工作。下面将围绕此类关键指标，对其定义及使用方法进行解读：

1）业务恢复时间目标，即业务RTO（Recovery Time Objective），是指自业务发生中断至业务恢复时的最大可容忍中断时间。业务恢复点目标，即业务RPO（Recovery Point Objective），是指最大可容忍的业务数据丢失时间。建议通过业务影响分析过程推导业务RTO和RPO，实际工作中由熟悉业务分析过程的管理人员指导业务部门开展此项工作。商业银行业务部门将作为需求提出部门，结合业务中断影响损失，确定符合银行业务特点的RTO和RPO目标。

2）信息系统恢复时间目标，即信息系统RTO，是指自信息系统发生中断至信息系统完全恢复可容忍的最大中断时间。信息系统恢复点目标，即信息系统RPO，是指最大可容忍的信息系统数据丢失时间。考虑到信息系统恢复后，存在的业务数据追补等时间开销，业务RTO原则上应大于或等于信息系统RTO；同理，业务RPO原则上应大于或等于信息系统RPO。

根据《商业银行业务连续性监管指引》中对业务影响分析工作的规定，商业银行应当根据本行业务规模和特点，通过开展业务影响分析工作梳理关键业务，并且确定业务RTO和业务RPO，同时确保重要业务的业务恢复指标要满足监管要求。

《商业银行业务连续性监管指引》

第二十五条 商业银行应当综合分析重要业务运营中断可能产生的损失与业务恢复成本，结合业务服务时效性、服务周期等运行特点，确定重要业务恢复时间目标（业务RTO）、业务恢复点目标（业务RPO），原则上，重要业务恢复时间目标不得大于4小时，重要业务恢复点目标不得大于半小时。

第二十七条 商业银行应当通过分析业务与信息系统的对应关系、信息系统之间的依赖关系，根据业务恢复时间目标、业务恢复点目标、业务应急响应时间、业务恢复的验证时间，确定信息系统恢复时间目标（信息系统RTO）、信息系统恢复点目标（信息系统RPO），明确信息系统重要程度和恢复优先级别，并识别信息系统恢复所需的必要资源。

以上条款说明了恢复时间目标（RTO）应该包括应急响应时间、恢复时间、恢复验证时间等，这在确定RTO时是需要加以注意的，尤其是应急响应时间通常还包括损失评估、事件升级、判断决策、灾难宣布等时间。

此外，《商业银行业务连续性监管指引》还对信息系统RTO和信息系统RPO的确定方式进行了规定。从以上条款可以看出，商业银行应当基于业务和系统的依赖关系，确定信息系统的恢复指标。在实际工作中，建议在推导业务恢复指标的过程中应兼顾信息系统备用资源服务水平，在平衡投入产出比的前提下，优化业务和系统结构，主管部门牵头并联合业务和信息系统部门，共同商讨确定业务和信息系统恢复时间指标。

2.构成要素

业务连续性管理的重要构成要素在《商业银行业务连续性监管指引》中有明确的规定，第七条提纲挈领地描述了体系建设的重要组成部分，并且就每个组成部分提出了进一步要求，为商业银行开展体系建设提供指导。(www.xing528.com)

《商业银行业务连续性监管指引》

第七条 商业银行应当建立业务连续性管理的组织架构，确定重要业务及其恢复目标，制定业务连续性计划，配置必要的资源，有效处置运营中断事件，并积极开展演练和业务连续性管理的评估改进。

从以上条目可以看出，商业银行业务连续性体系构成要素包括组织架构建设、风险评估和业务影响分析、业务连续性策略、业务连续性计划、资源建设、演练、业务连续性持续改进。

1）组织架构建设：商业银行业务连续性管理组织包括日常管理组织和应急处置组织，日常管理组织负责落实业务连续性日常管理各项工作，如业务影响分析、风险评估、业务连续性计划编制和维护等；应急处置组织是一个虚拟组织，是在运营中断事件发生后临时搭建的组织，其组织职责和人员构成在日常管理中有所规定，以确保在突发事件达到一定级别后能够及时启动。商业银行业务连续性组织架构的建设是商业银行开展业务连续性管理工作的基础。

2）业务影响分析：业务影响分析是商业银行通过梳理本行所有业务，分析各业务运营中断对银行造成的财务的和非财务的影响和损失，识别出业务恢复关键指标并且梳理业务恢复优先顺序的过程。业务影响分析是商业银行业务连续性实施差异化管理的前提条件。

3）风险评估：风险评估是商业银行识别关键资源以及分析评估资源所面临的各类威胁以及资源自身脆弱性，从而确定风险敞口的过程。风险评估是商业银行制定业务连续性策略的重要依据。

4）业务连续性策略确定：确定业务连续性策略就是从业务影响分析和风险评估的发现的角度决定采取的措施，并以某种方式满足组织的业务连续性目标。

5）业务连续性计划制定：狭义的业务连续性计划仅指业务连续性计划本身，其内容包括重要业务及其关联关系、业务恢复优先次序、重要业务运营所需关键资源、应急指挥和危机通讯程序、各类预案及预案维护和管理要求及残余风险，其作用是将业务连续性日常管理部分内容汇总沉淀下来，作为商业银行开展应急工作的重要参考。而广义的业务连续性计划是一个体系，内容包括计划本身、总体应急预案，重要业务专项应急预案、信息系统专项应急预案和保障类专项应急预案等，这个体系的建立是商业银行开展应急工作的基础。

6）资源建设：资源建设是商业银行从人员、场地、信息系统、办公设备、业务单据、外部服务商等方面对开展应急工作所需要的必要资源进行梳理，并参考清单配备资源的过程。值得注意的是，资源建设是一个循序渐进的过程，商业银行在制定和实施资源建设计划时需要考虑业务恢复优先级、商业银行经营情况、规模、备用资源建设现状等。

7）演练：演练是模拟真实运营中断现场，参演方按照预先设定的场景和业务连续性计划开展应急处置工作的过程。演练的总体目标是验证应急预案的完整性、可操作性和有效性，验证业务资源的可用性，提高商业银行运营中断事件的综合处置能力。演练的形式是多样的，包括全面演练、桌面推演等，桌面推演主要侧重于验证组织架构设定、事件分级机制、紧急沟通程序的有效性，并不涉及真实的系统切换；而全面演练在桌面推演的基础上还可以验证人员、系统、设备等资源的可用性，涉及全面，实战性强。

8）业务连续性持续改进：业务连续性体系构建是一个动态的过程，商业银行需要通过建立持续改进机制，定期对本行的体系建设进行评估、审计等，查找现有体系与领先商业银行发展情况之间的差距，有针对性地对体系进行调整和完善，旨在维护体系的完整性、合理性和有效性。